Maßarbeit statt Massenware: Cyberkriminelle rüsten um
Weniger Netzwerkangriffe, aber deutlich gefährlichere Treffer: WatchGuards aktueller Threat Report zeichnet ein Bild von Cyberkriminellen, die nicht leiser werden, sondern gezielter. Wer sich von sinkenden Alarmzahlen in falscher Sicherheit wiegt, übersieht die eigentliche Entwicklung dahinter.
Der Global Threat Report für das erste Halbjahr 2026 fördert auf den ersten Blick eine gute Nachricht zutage: Die Zahl der Netzwerkangriffe sank gegenüber dem Vorjahr um 79 Prozent. Wer genauer hinschaut, erkennt jedoch die Kehrseite dieser Entwicklung. Auf Endgeräten explodierte die Zahl neuartiger Schadsoftware im gleichen Zeitraum um mehr als 2000 Prozent, und fast 96 Prozent aller erkannten Bedrohungen tauchten jeweils nur auf einem einzigen Gerät auf.
Angriffe selektiver und präziser
Für WatchGuard-CISO Corey Nachreiner ist die Botschaft eindeutig: Angreifer würden nicht harmloser, sondern lediglich "selektiver und präziser". Malware-as-a-Service, Automatisierung und KI-gestützte Werkzeuge erlauben es Kriminellen demnach, maßgeschneiderte Schadsoftware für einzelne Opfer zu erzeugen, statt breit gestreute Kampagnen zu fahren, die klassischen Signaturscannern schnell auffallen.
Auch beim Erstzugriff verschieben sich die Gewichte: Statt auffälliger PowerShell-Aktivität rücken gestohlene Zugangsdaten, dauerhaftes Einnisten im System und unauffälliger Fernzugriff in den Vordergrund der Angriffsmuster. Deutschland sticht dabei bei zwei der fünf weltweit häufigsten Angriffe besonders hervor: Sowohl Exploit-Versuche gegen das CMS dotCMS als auch Directory-Traversal-Angriffe erreichten hierzulande Höchstwerte.
Oft jahrealte Lücken
Dass viele Angreifer dabei gar nicht auf neueste Schwachstellen angewiesen sind, zeigt ein weiterer Befund des Reports: Ein erheblicher Teil der beobachteten Attacken zielt auf über zehn Jahre alte Lücken, allein SQL-Injection macht mehr als 17 Prozent aus. Verschlüsselung bleibt dabei der bevorzugte Transportweg für Schadcode – 95 Prozent der Malware reiste über TLS-Verbindungen, doch nur jedes fünfte im Einsatz befindliche Gerät prüft diesen Datenverkehr überhaupt. Kein Wunder also, dass evasive Malware für knapp ein Drittel aller Erkennungen verantwortlich zeichnete, selbst auf Geräten mit fortschrittlicher Abwehrtechnik.
Ein zwiespältiges Bild liefert der Report schließlich beim Dauerbrenner Ransomware. Die Zahl der auf Endgeräten registrierten Vorfälle sank zwar um 68 Prozent, gleichzeitig kletterten die öffentlich dokumentierten Erpressungsfälle auf Rekordniveau. WatchGuard zählte im ersten Halbjahr 41 neue Ransomware-Gruppen, wobei sich mehr als die Hälfte der knapp 5000 öffentlichen Fälle auf die acht größten Akteure konzentrierte – ein Beleg dafür, wie sich das kriminelle Ökosystem konsolidiert und zugleich neue Player anzieht.
Mehrschichtige Abwehr nötig
Für Sicherheitsteams und MSPs bedeutet das vor allem eins: Wer nur auf das reine Alarmvolumen schaut, verpasst die eigentliche Gefahr. Gefragt sind stattdessen mehrschichtige Abwehrkonzepte aus Intrusion Prevention, fortschrittlichem Endpoint-Schutz, konsequenter Multifaktor-Authentifizierung und Zero-Trust-Zugriffskontrollen, dazu ein wachsames Auge auf alte Schwachstellen und ausgemusterte Edge-Geräte, die im Alltag gerne übersehen werden.